WordPress Football Pool插件反射型XSS漏洞(CVE-2026-8790)公告

漏洞概述 漏洞名称: Football Pool <= 2.13.4 - Authenticated (Subscriber+) Reflected Cross-Site Scripting CVE ID: CVE-2026-8790 CVSS评分: 6.1 (Medium) 发布日期: 2026年8月4日 最后更新日期: 2026年8月5日 研究人员: whitesector - rivian 影响范围 软件类型: Plugin 软件名称: Football Pool 受影响版本: <= 2.13.4 修复版本: 2.13.5 修复方案 修复方法: 升级到版本 2.13.5 或更高版本 漏洞描述 Football Pool 插件在 WordPress 中存在反射型跨站脚本漏洞，通过 POST 参数在 Shoutbox 小部件中。在 2.13.4 及更早版本中，由于输入清理和输出转义不足，当 Shoutbox 表单提交失败时，如果未检查 nonce 或 为空，或者用户无法保存，原始的 POST 值会被回显到 元素中，使用 且无 HTML 转义。这使得未经身份验证的攻击者能够执行任意 Web 脚本，诱骗已认证受害者（订阅者级别及以上）提交包含恶意 POST 请求的页面，该页面包含 Shoutbox 小部件。 参考链接 plugins.trac.wordpress.org plugins.trac.wordpress.org plugins.trac.wordpress.org plugins.trac.wordpress.org plugins.trac.wordpress.org plugins.trac.wordpress.org 分享选项 Facebook X (Twitter) LinkedIn Email 漏洞详情 软件类型: Plugin 软件名称: Football Pool 是否已修复: Yes 修复方法: 升级到版本 2.13.5 或更高版本 受影响版本: <= 2.13.4 修复版本: 2.13.5 近期漏洞 Football Pool <= 2.12.6 - Authenticated (Contributor+) Stored Cross-Site Scripting - CVE ID: CVE-2025-58987 - CVSS评分: 6.4 - 研究人员: Muhammad Yudha - DJ - 日期: 2025年9月25日 Football Pool <= 2.12.5 - Authenticated (Contributor+) Stored Cross-Site Scripting - CVE ID: CVE-2025-53280 - CVSS评分: 6.4 - 研究人员: Muhammad Yudha - DJ - 日期: 2025年6月27日 Football Pool <= 2.12.4 - Authenticated (Administrator+) Stored Cross-Site Scripting - CVE ID: CVE-2025-5490 - CVSS评分: 5.5 - 研究人员: Jonas Benjamin Friedli - 日期: 2025年6月18日 Football Pool <= 2.12.2 - Cross-Site Request Forgery to Settings Update - CVE ID: CVE-2025-30764 - CVSS评分: 4.3 - 研究人员: Nguyen Xuan Chien - 日期: 2025年3月26日 Football Pool <= 2.11.9 - Authenticated (Subscriber+) Stored Cross-Site Scripting - CVE ID: CVE-2024-43139 - CVSS评分: 6.4 - 研究人员: Manab Jyoti Dowarah - 日期: 2024年8月7日 Football Pool <= 2.11.10 - Authenticated (Editor+) Stored Cross-Site Scripting - CVE ID: CVE-2024-43130 - CVSS评分: 4.4 - 研究人员: Ananda Dhakal - 日期: 2024年8月7日 Football Pool <= 2.11.3 - Authenticated (Contributor+) Stored Cross-Site Scripting - CVE ID: CVE-2024-29802 - CVSS评分: 6.4 - 研究人员: Ngô Thiên An (ancom_) - 日期: 2024年1月8日 Football Pool <= 2.6.5 - Cross-Site Scripting - CVE ID: CVE-2017-18524 - CVSS评分: 6.1 - 研究人员: Ricardo Sanchez - 日期: 2017年11月3日 更多信息 查看此软件包中的更多漏洞: VIEW MORE VULNERABILITIES IN THIS SOFTWARE PACKAGE 版权信息 Defiant Inc.: 2012-2026 The MITRE Corporation: 1999-2026 联系方式 联系邮箱: wfr-support@wordfence.com 业务时间 9am-8pm ET, 6am-5pm PT, 2pm-1am UTC/GMT（不包括周末和节假日） 响应客户: 24小时支持，全年365天，1小时响应时间 服务条款 Terms of Service Privacy Policy and Notice at Collection Do Not Sell or Share My Personal Information 社交媒体 Twitter Facebook LinkedIn Instagram 产品 Wordfence Free Wordfence Premium Wordfence Care Wordfence Response Wordfence CLI Wordfence Intelligence Wordfence Central 支持 Documentation Learning Center Free Support Premium Support 新闻 Blog In The News Vulnerability Advisories 关于 About Wordfence Affiliate Program Employment Contact Security CVE Request Form 订阅更新 Sign up for news and updates from our panel of experienced security professionals. 邮箱: you@example.com 同意条款: By checking this box I agree to the terms of service and privacy policy. 版权 © 2012-2026 Defiant Inc. All Rights Reserved 合作伙伴 Entrust**

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

WordPress Football Pool插件反射型XSS漏洞(CVE-2026-8790)公告

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

WordPress Football Pool插件反射型XSS漏洞(CVE-2026-8790)公告

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！